卡巴斯基从Hacking Team泄露的数据里发现了Silverlight漏洞
专门提供各种黑客工具以及服务的Hacking Team在去年7月份被黑客黑了并且内部资料也都流传到了网上。
Hacking Team并不是一个黑客组织,而是一个为数不多的向全球监管者出售监控工具的公司。
从事安全行业的人除了通过网上流传的攻击程序揭露漏洞外,卡巴斯基实验室也在本周三称微软本周修复的Silverlight漏洞也是该实验室通过流传的文件中找到。
攻击Hacking Team的黑客在网上放出了Hacking Team的各种机密文件,从客户名单、攻击程序到内部邮件等等。
而安全专家已经从这些文件中找出Flash及Windows核心的零日漏洞,而卡巴斯基则是从邮件内容里发现了Silverlight漏洞。
卡巴斯基称一名俄罗斯黑客Vitaliy Toropov向Hacking Team兜售数个攻击程序,攻击目标包括Flash、Silverlight、Java与Safari等。
其售价从每个3-4.5万美元不等,虽然Hacking Team最后只买了Flash攻击程序,但他们却对信中提到的Sliverlight漏洞产生兴趣,因而展开研究并成功发现了该漏洞。
卡巴斯基实验室研究人员表示Silverlight漏洞并不常见,要使用Silverlight的零日漏洞需要相当的技术才可以,可是一旦其概念性验证程序落入他人的手中要开发攻击程序就不那么困难了。
微软已经在本周的例行安全更新中修补了这个漏洞,根据微软的MS16-006安全公告,当用户浏览被嵌入特定Silverlight程序的受害者网站后,该漏洞将允许黑客执行远程代码。
该漏洞同时影响Windows和Mac平台上的Silverlight且被列为立即更新的重要等级。